Политики безопасности компании при работе в Интернет

Суть политики

Предпосылки:

 оценка безопасности;

Все новые экстранет-подключения будут оцениваться на предмет обеспечения безопасности отделом информационной безопасности. Эта оценка будет гарантировать, что подключения наилучшим образом соответствуют бизнес-по– требностям компании и принципам обеспечения наименьшего доступа.

 соглашение о подключении со сторонними организациями;

Для выполнения запроса на новое подключение между сторонней организацией и компанией требуется подписание «Соглашения со сторонней организацией» между ней и уполномоченным представителем компании. Это соглашение подписывают вице-президент компании и уполномоченный представитель сторонней организации. Документы, относящиеся к подключениям к лабораториям компании, хранятся в отделе, отвечающем за безопасность данной лаборатории.

 бизнес-потребность;

Все экстранет-подключения должны выполняться только для ведения бизнеса с письменным описанием необходимости такого подключения и с разрешением от менеджера проекта. Подключения к лаборатории должны быть разрешены сотрудником, отвечающим за безопасность лаборатории. Обычно порядок подключения описывается как часть «Соглашения со сторонней организацией».

 контактные лица.

Сторонняя организация обязана определить сотрудника, ответственного за данное подключение. Это контактное лицо ответственно за выполнение своей части «Соглашения со сторонней организацией». При изменении контактного лица организацией компания должна быть незамедлительно проинформирована.

Установление подключения. Отдел внутри компании, у которого есть необходимость установить соединение со сторонней организацией, оформляет запрос в отдел экстранета, отвечающий за такие подключения. Этот отдел вместе с отделом информационной безопасности исследует все возможные проблемы безопасности, связанные с этим подключением. Если предполагается подключение в лабораторию компании, то в исследовании принимает участие и группа, отвечающая за безопасность данной лаборатории. Сторонняя организация должна предоставить полную информацию о предполагаемом подключении отделу экстранета и отделу информационной безопасности. Все устанавливаемые подключения должны отвечать принципу наименьшего доступа в соответствии с бизнес-требованиями и оценкой безопасности. Компания ни в коем случае не должна полагаться на стороннюю организацию при защите собственных сетей и ресурсов.

Изменение подключения и доступа. Все изменения в подключении и предоставлении доступа должны соответствовать бизнес-потребностям и являются объектом для оценки безопасности. Изменения осуществляются через корпоративную процедуру управления изменениями. Сторонняя организация должна немедленно уведомлять отдел экстранета и отдел информационной безопасности о любых изменениях в подключении или доступе.

Отключение. Сторонняя организация должна уведомить отдел экстранета компании, когда доступ становится не нужен, для прекращения подключения. Это может означать изменение существующих списков доступа или физический разрыв соединения. Отдел экстранета и группа, отвечающая за безопасность лабораторий, должны проводить ежегодный аудит для обеспечения гарантии, что все подключения все еще необходимы и уровень доступа не выше требуемого для выполнения задач. Подключения, не удовлетворяющие этим требованиям, должны быть немедленно разорваны. Отдел информационной безопасности и/или отдел экстранета должны уведомлять стороннюю организацию перед внесением изменений или прекращением подключения.